Filtrage DNS gratuit vs payant : à quoi renonce un établissement en choisissant la gratuité

Utilisez un filtre DNS gratuit lorsque vous gérez un seul réseau à faible risque sans besoin de rapports ; utilisez le filtrage DNS payant lorsque vous segmentez les VLAN invités et collaborateurs ou gérez plusieurs sites. Les résolveurs publics gratuits appliquent une seule politique fixe et ne fournissent aucun journal de requêtes. Les services payants tels que Purple Shield, DNSFilter et Cisco Umbrella ajoutent des politiques par VLAN, du reporting et un support technique.

Quand un filtre DNS gratuit suffit-il pour le réseau d'un établissement ?

Commencez par examiner l'endroit où le filtrage s'effectue. Chaque connexion débute par une recherche DNS, lors de laquelle l'équipement demande à un résolveur l'adresse IP associée à un nom de domaine. Un résolveur de protection vérifie ce domaine par rapport à une politique avant de répondre. Si le domaine est malveillant ou appartient à une catégorie bloquée, aucune adresse n'est renvoyée et aucune connexion ne s'ouvre.

Cet emplacement explique pourquoi le filtrage DNS intercepte ce qu'un pare-feu manque. Un pare-feu inspecte le trafic une fois la connexion établie, et le chiffrement masque une grande partie de chaque session. La recherche s'effectue toujours en premier, pour chaque application et chaque équipement sur l'SSID.

Le filtrage gratuit comme le filtrage payant se situent exactement au même endroit. La question du filtrage DNS gratuit ou payant concerne la personne qui définit la politique, celle qui consulte les résultats et celle qui intervient en cas de problème.

Un filtre DNS gratuit suffit lorsque trois conditions sont réunies :

• Un seul réseau, un seul public. Un unique SSID invité, sans trafic collaborateurs, de paiement ou résidentiel partageant la même politique.
• Rien à prouver. Aucun organisme de réglementation, assureur, condition de licence ou obligation de protection ne vous demande de prouver ce que vous bloquez.
• Une liste de blocage fixe est acceptable. Vous pouvez vous contenter des catégories du fournisseur et patienter lorsqu'un site légitime est bloqué par erreur.

Si une seule de ces conditions n'est pas remplie, le filtrage DNS payant justifie son coût. Pour découvrir l'ensemble des options disponibles, consultez notre guide des alternatives au filtrage DNS.

Filtrage DNS gratuit ou payant : la décision en un schéma

Répondez à quatre questions dans l'ordre. Chacune d'entre elles définit une condition qui vous éloigne de l'option gratuite.

Quelle option correspond à chaque configuration d'établissement ?

Le tableau associe les réseaux d'établissements courants à une recommandation et à la condition sous jacente.

Scénario appliqué : un trust de l'NHS avec des réseaux patients, visiteurs et personnel

Situation. Un trust hospitalier exploite le WiFi pour les patients, les visiteurs et le personnel soignant. Un solveur gratuit donnerait la même politique aux trois groupes et ne laisserait aucun enregistrement des blocages à l'équipe de sécurité.

Action réalisée. St George's Healthcare NHS Trust utilise Purple Shield comme DNS de protection sur son WiFi.

Résultat. Shield bloque les menaces malveillantes au sein du trust, chacune avant qu'une connexion ne s'ouvre. Un solveur gratuit pourrait bloquer certains de ces domaines, mais personne au sein du trust n'en verrait le nombre.

Scénario appliqué : un hôtel de 200 chambres abandonnant un solveur gratuit

Situation. Un hôtel de 200 chambres redirige les VLANs visiteurs et personnel vers un seul solveur gratuit avec filtre familial. Le site d'un partenaire de réservation est bloqué par erreur pour la réception, et le réseau visiteurs ralentit les soirs de forte affluence.

Action réalisée. L'hôtel passe à un DNS de protection payant avec des politiques séparées pour les visiteurs et le personnel. Il ajoute le site partenaire à la liste d'autorisations en une seule fois et active le blocage des publicités pour le VLAN visiteurs.

Résultat attendu. Le blocage est levé en une seule modification, sans passer par un ticket d'assistance auprès d'un fournisseur sans file d'attente. D'après les données propres à Purple, le blocage des publicitaires génère jusqu'à 44 % de données en moins et jusqu'à 62 % de requêtes DNS en moins. Il s'agit d'une capacité restituée aux clients aux heures de pointe.

Que vous apporte un filtre DNS gratuit, et que laisse-t-il de côté ?

Les résolveurs publics gratuits accomplissent bien une tâche : ils refusent de résoudre les domaines figurant sur leur liste de blocage. Trois d'entre eux sont fréquents sur les réseaux d'établissements :

• Cloudflare 1.1.1.1 pour les familles propose deux paramètres fixes : le blocage des logiciels malveillants, ou les logiciels malveillants plus le contenu adulte (documentation Cloudflare).
• Quad9 bloque les domaines malveillants à l'aide de renseignement sur les menaces issus de partenaires de sécurité, sans catégories de contenu. Une fondation à but non lucratif basée en Suisse le gère.
• OpenDNS FamilyShield bloque le contenu pour adultes à partir d'une liste préconfigurée. Le service payant Umbrella de Cisco est issu d'OpenDNS.

Les services freemium tels que NextDNS et AdGuard DNS ajoutent un tableau de bord et des listes personnalisées sur leurs offres gratuites. Ils plafonnent l'utilisation et sont dimensionnés pour les ménages, vérifiez donc les conditions avant d'en placer un dans un hôtel.

Voici ce à quoi renonce un réseau d'entreprise lorsqu'il s'appuie sur un résolveur gratuit :

• Une seule politique pour chaque réseau. Le résolveur voit votre adresse IP publique, pas votre VLAN. Vous pouvez pointer chaque VLAN vers un résolveur gratuit différent, mais vous choisissez alors entre des menus fixes, plutôt que de rédiger une politique.
• Aucun journal lisible. Lorsqu'un ordinateur portable du personnel atteint un domaine d'hameçonnage, vous n'avez rien à analyser. Vous ne pouvez pas dire quel appareil a fait la demande, ni quand.
• Aucune dérogation. Vous ne pouvez pas autoriser le site d'un fournisseur bloqué à tort. Vous devez attendre que le fournisseur le reclassifie, ou faire passer tout le monde sur un autre résolveur.
• Aucun choix de catégorie. Les jeux d'argent, les réseaux sociaux, le streaming et le partage de fichiers relèvent de vos décisions. Les résolveurs gratuits les prennent pour vous, ou pas du tout.
• Aucun support. Il n'y a pas de ticket, pas de contact désigné et pas de niveau de service lorsque la résolution ralentit un samedi soir.
• Aucune preuve. Les audits de protection, les questionnaires d'assureur et les examens de licence demandent ce que vous bloquez. Un résolveur gratuit ne vous laisse rien à leur présenter.

Qu'ajoute le filtrage DNS payant pour un réseau d'entreprise ?

Le filtrage DNS payant conserve le même emplacement tout en ajoutant du contrôle, de la visibilité et un interlocuteur à contacter. Cinq ajouts importent le plus pour un établissement :

• Une politique par SSID, VLAN et établissement. Les clients bénéficient du blocage des logiciels malveillants, de l'hameçonnage et du contenu pour adultes. Le personnel bénéficie d'une politique adaptée à son travail. Les résidents bénéficient d'un accès de type domestique avec une protection contre les logiciels malveillants, le tout géré à partir d'un seul tableau de bord.
• Rapports et journaux de requêtes. Vous visualisez les menaces bloquées par réseau et pouvez analyser les recherches d'un équipement après un incident. Définissez une durée de conservation que vous pouvez justifier dans le cadre du GDPR.
• Listes d'autorisation et de blocage. Débloquez un fournisseur une seule fois et la modification s'applique immédiatement à l'ensemble des sites.
• Renseignement sur les menaces plus rapide. Shield signale les menaces plus rapidement grâce à des données mises à jour en temps réel.
• Blocage des publicités. Les mesures propres à Purple révèlent jusqu'à 44 % de données en moins et jusqu'à 62 % de requêtes DNS en moins lorsque le blocage des publicités est activé. Sur un réseau événementiel ou de transport saturé, c'est autant de bande passante récupérée.

En quoi les options payantes diffèrent-elles ?

Cisco Umbrella s'intègre dans le portefeuille global de sécurité de Cisco. Il convient aux équipes déjà standardisées sur les outils de sécurité Cisco ; notre guide des tarifs Cisco Umbrella explique la structure de ses prix.

DNSFilter est un service de filtrage DNS protecteur autonome proposant un programme pour les fournisseurs de services gérés (MSP). Il s'adresse aux équipes IT et aux MSP qui recherchent un outil de filtrage DNS indépendant.

Purple Shield est une solution de filtrage DNS protecteur conçue pour le WiFi des établissements et lieux publics. Elle fonctionne de manière autonome sur n'importe quel réseau WiFi ou s'ajoute à Purple Access, avec une politique appliquée par SSID, VLAN et site. Comme elle intervient au niveau du DNS, aucun matériel supplémentaire n'est requis. Elle s'exécute sur les réseaux développés avec Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks et Fortinet. Purple est déployé dans plus de 80 000 sites répartis dans 90 pays.

Combien coûte l'exploitation de chaque option ?

Le prix de la licence représente la dépense la plus minime de ce comparatif. Comparez le temps de travail consommé par chaque option sur une année entière.

Le filtrage gratuit déplace le coût de la facture vers votre équipe. Chaque faux positif devient un ticket sans autre solution que l'attente. Chaque incident devient une investigation sans données.

Un filtre auto-hébergé comme Pi-hole échange les frais de licence contre des correctifs, du matériel et une responsabilité en dehors des heures de bureau. L'article Pi-hole vs filtrage DNS géré détaille ce compromis.

Les fournisseurs payants facturent par établissement, réseau, équipement ou utilisateur. Modélisez l'unité qui correspond à votre parc avant de comparer les devis. Pour Shield, consultez la tarification Purple Shield, et déduisez les économies de bande passante liées au blocage des publicités du montant de l'abonnement.

Quels facteurs modifient la réponse ?

Des mineurs utilisent le réseau

En Angleterre, les écoles et établissements d'enseignement supérieur doivent respecter les normes de filtrage et de surveillance du Department for Education. Ces normes s'ajoutent aux consignes Keeping Children Safe in Education (KCSIE). Elles exigent que vous sachiez ce qui est bloqué et que vous le révisiez. Un résolveur gratuit sans journaux ne permet pas de le prouver, la solution devient donc payante.

Vous êtes un organisme du secteur public britannique éligible

Le NCSC propose gratuitement son service Protective DNS aux organismes du secteur public éligibles. Il bloque les domaines malveillants connus sur les réseaux d'entreprise. Il ne fournit pas de catégories de contenu ni de politiques par SSID pour le WiFi invité. Un compromis efficace consiste à utiliser NCSC Protective DNS sur les réseaux d'entreprise et un filtrage payant sur le WiFi invité.

La bande passante est le principal obstacle

Dans un stade, une gare ou un site rural disposant d'une faible liaison de collecte, le blocage des publicités change la donne. Selon les données de Purple, jusqu'à 44 % de données en moins et jusqu'à 62 % de requêtes DNS en moins peuvent compenser une partie des coûts.

Vous payez déjà pour une suite de sécurité

Si Cisco Umbrella couvre déjà votre parc d'entreprise, l'étendre au WiFi invité peut coûter moins cher. Il s'agit de vérifier si son modèle de politique s'adapte aux réseaux invités par SSID sur plusieurs sites. Validez cela lors d'un essai avant de vous engager.

Vous gérez de nombreux sites ou les administrez pour des tiers

Chaque résolveur gratuit est configuré site par site, sans vue centralisée. À l'échelle d'un parc, la console fait tout le produit. Le guide DNS filtering for MSPs and multi-site estates traite ce cas précis.

Le site se résume à une pièce et un SSID

Un simple café avec un seul SSID invité est le cas idéal pour une solution gratuite. Orientez le SSID vers un résolveur avec filtre familial et bloquez le contournement. Réévaluez la décision lorsque vous ajouterez un réseau personnel ou un second site.

Quelle est la recommandation par défaut pour le WiFi d'un site ?

Votre première action consiste à dresser un inventaire. Listez chaque SSID et VLAN sur chaque site, le résolveur utilisé aujourd'hui et la personne à avertir en cas de site bloqué à tort. Lancez ensuite un essai de filtrage DNS de 30 jours sur un site avec des politiques distinctes pour les invités et le personnel.

Le filtrage DNS constitue une couche de sécurité réseau. Pour découvrir les contrôles associés, de la norme IEEE 802.1X (authentification réseau basée sur les ports) à WPA3, consultez notre guide de sécurité WiFi pour entreprises.

Foire aux questions

Puis-je utiliser un filtre DNS gratuit sur un réseau WiFi invité d'entreprise ?

Oui, pour un seul SSID à faible risque, mais vérifiez d'abord les conditions d'utilisation. Les résolveurs publics gratuits tels que Quad9 et Cloudflare 1.1.1.1 for Families vous offrent une politique fixe unique, sans journaux ni assistance. Les offres freemium telles que NextDNS limitent l'utilisation et sont dimensionnées pour les foyers. Dès lors que les réseaux invités et du personnel partagent la connexion, ou que vous devez prouver l'application du filtrage, un résolveur gratuit n'est plus adapté.

Combien coûte un filtrage DNS payant ?

Le filtrage DNS payant est un abonnement, dont le prix est fixé par établissement, réseau, appareil ou utilisateur selon le fournisseur. Nous ne publions pas les prix des autres fournisseurs. Modélisez l'unité qui correspond à votre parc avant de comparer les devis. Les tarifs de Shield sont disponibles sur la page des tarifs Purple Shield. Déduisez du coût de l'abonnement toute économie de bande passante réalisée grâce au blocage des publicités.

Purple Shield fonctionnera-t-il avec les points d'accès que je possède déjà ?

Oui. Shield fonctionne au niveau du DNS, il ne nécessite donc aucun nouveau matériel ni changement de point d'accès. Il fonctionne sur les réseaux basés sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. Vous pouvez l'exécuter de manière autonome sur n'importe quel WiFi ou l'ajouter à Purple Access, avec une politique par SSID, VLAN et établissement.

Comment migrer d'un résolveur gratuit vers un filtrage DNS payant ?

Migrez un réseau à la fois en modifiant le serveur DNS distribué par votre étendue DHCP. Commencez par le SSID invité d'un établissement et observez les blocages et les appels au support pendant une semaine. Déplacez ensuite les VLAN du personnel vers leur propre politique. Bloquez les contournements au niveau du pare-feu au fur et à mesure. Notre programme d'essai de 30 jours détaille l'ordre des étapes et les vérifications.

Le filtrage DNS aide-t-il à se conformer au GDPR et à la protection des personnes ?

Oui, lorsqu'il est fourni avec des journaux et une politique de conservation claire. Les cadres de protection des personnes tels que KCSIE exigent que vous puissiez montrer ce qui est filtré et révisé. Les journaux de requêtes pouvant contenir des données personnelles au titre du GDPR, ne les conservez que le temps nécessaire. Purple est certifié ISO 27001 et Cyber Essentials, et conforme au GDPR.

Comment Purple Shield se compare-t-il à Cisco Umbrella et DNSFilter ?

Tous trois sont des services de DNS protecteur payants qui filtrent au moment de la résolution, avant l'ouverture d'une connexion. Cisco Umbrella convient aux équipes déjà standardisées sur les outils de sécurité Cisco. DNSFilter est un service autonome proposant un programme MSP. Shield est conçu pour le WiFi des établissements, avec une politique par SSID, VLAN et établissement à partir d'un tableau de bord unique. Whitbread, AGS Airports et St George's Healthcare NHS Trust l'utilisent.

Les invités peuvent-ils contourner le filtrage DNS ?

Oui, un utilisateur déterminé peut contourner n'importe quel filtre DNS avec un VPN ou un appareil configuré avec son propre DNS chiffré. Limitez cela en bloquant le port sortant 53 vers tous les résolveurs sauf le vôtre. Bloquez également les points de terminaison DNS over HTTPS connus au niveau du pare-feu. Sur le WiFi invité, l'objectif est de protéger la majorité des utilisateurs occasionnels, pas d'arrêter chaque expert.